Citrix bestätigt zwei aktiv ausgenutzte NetScaler-Zero-Days weltweit

Citrix bestätigte am 27. September, dass zwei kritische Sicherheitslücken zur Remotecodeausführung in seinen Produkten NetScaler ADC und NetScaler Gateway weltweit aktiv in Angriffen ausgenutzt werden, und veröffentlichte am selben Tag gepatchte Builds. Beide Schwachstellen, verfolgt als CVE-2026-88771 und CVE-2026-88772, haben einen CVSS-v4-Schweregrad von 9,5 von 10. CISA fügte beide zu ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und gab eine Warnung heraus, die zu sofortigem Patchen aufforderte.

Warum diese beiden Schwachstellen so gefährlich sind

CVE-2026-88771 ist eine Schwachstelle durch unsachgemäße Eingabevalidierung, die es einem nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auf dem Gerät auszuführen. Entscheidend ist, dass sie jede NetScaler-ADC- und NetScaler-Gateway-Bereitstellung betrifft, die eine betroffene Version ausführt, einschließlich Installationen in Standardkonfiguration.

CVE-2026-88772 ist eine Speicherüberlauf-Schwachstelle, die zu Remotecodeausführung oder Dienstverweigerung führen kann, aber nur, wenn DTLS auf dem Gerät aktiviert ist. Da DTLS standardmäßig für VPN-virtuelle Server aktiviert ist, erfüllt die überwiegende Mehrheit der realen NetScaler-Gateway-Bereitstellungen diese Voraussetzung.

Warum NetScaler ein so wertvolles Ziel ist

NetScaler-Geräte werden fast immer als internetseitige Edge-Geräte eingesetzt, die sich am Perimeter eines Unternehmensnetzwerks befinden, um Fernzugriff und Anwendungsbereitstellung zu handhaben. Diese Positionierung macht sie genau deshalb für Angreifer attraktiv.

Was Organisationen jetzt tun müssen

Citrix hat gepatchte Builds veröffentlicht, die beide Schwachstellen beheben, und die CISA-Empfehlung legt eine verbindliche Patch-Frist für US-Bundesbehörden fest. Für jede Organisation, die NetScaler ADC oder NetScaler Gateway betreibt, ist die praktische Empfehlung von Sicherheitsforschern direkt: sofort patchen.